Cisco закрыла уязвимость в веб-интерфейсе UCS Central. Ошибка позволяет вошедшему в систему пользователю выполнить произвольные команды на устройстве. Затронуты установки UCS Central без свежего выпуска исправлений. Учётные данные атакующему нужны, поэтому угроза чаще исходит изнутри.
Уязвимость CVE-2026-76506 в веб-интерфейсе UCS Central
UCS Central управляет парком серверов Cisco UCS из единой консоли. Через неё инженеры раскатывают профили и следят за состоянием оборудования. Поэтому ошибка в веб-интерфейсе затрагивает не одну машину, а весь парк. При этом доступ к консоли обычно открыт многим администраторам. Каждый такой доступ расширяет поверхность атаки.
Уязвимость затрагивает UCS Central независимо от конфигурации устройства. Затронутыми считаются только продукты из уведомления. Проверяет вендор лишь сведения о затронутых и исправленных выпусках. Поэтому список уязвимых сборок стоит читать буквально. С него и начинается проверка инфраструктуры.
Причина уязвимости - недостаточная проверка данных, которые приходят в HTTP-запросе. Специально собранный запрос на уязвимую конечную точку обходит эту проверку. В результате атакующий выполняет произвольные команды. Кроме того, он пишет файлы в файловую систему и читает конфиденциальные сведения. Класс ошибки описывают как обход каталога, или CWE-22.
Права администратора для атаки не нужны. Достаточно любой действующей учётной записи на устройстве. Поэтому круг потенциальных нарушителей шире, чем кажется. Кроме того, украденные или переиспользованные пароли тоже подходят. Из-за этого защита консоли не сводится к одному патчу.
Запись CVE-2026-76506 в каталоге уязвимостей опубликована 4 ноября 2026 года. В тот же день вышла первая версия уведомления Cisco. При этом идентификатор зарезервировали заранее, ещё в августе. Номер ошибки в трекере Cisco - CSCwv60193.
Условия атаки и оценка CVSS
По шкале CVSS 3.1 уязвимость получила 7.6 балла из 10. Атака идёт по сети, сложность её низкая. При этом учётные данные нужны, хотя хватает минимальных привилегий. Участие пользователя не требуется. Сильнее всего страдает конфиденциальность, целостность и доступность затронуты слабее.
Успешная эксплуатация даёт контроль над системой управления парком. Скомпрометированная консоль ценна сама по себе. Из-за этого атакующий получает опору для дальнейших действий в сети. Запись файлов позволяет закрепиться на устройстве надолго. Поэтому обновление стоит включить в ближайший цикл обслуживания.
Какие выпуски закрывают уязвимость
Исправление вышло в выпуске 2.1(2c). Ветку 2.0 и более ранние сборки Cisco не патчит. Владельцам таких установок предлагают перейти на поддерживаемый выпуск. Обходных мер нет, поэтому закрыть ошибку без обновления нечем. Уведомление cisco-sa-cucs-rce-LzHSFRDQ опубликовано 4 ноября 2026 года.
Администраторам стоит сверить текущий выпуск с таблицей в уведомлении. Для ветки 2.1 достаточно обновиться до 2.1(2c). Установки 2.0 и старше требуют миграции на актуальную ветку. После этого прежние учётные записи стоит пересмотреть. Ошибка требует валидного входа, поэтому лишние привилегии повышают риск.
Затронуто множество сборок веток 2.0 и 2.1. Поэтому перебор версий вручную занимает время. При этом таблица исправлений в уведомлении снимает вопросы. Если установка старая, готовиться нужно к миграции, а не к патчу. Иначе исправления для неё просто не будет.
Что сделать до и после обновления
Патч закрывает путь к выполнению команд через веб-интерфейс. При этом строже становится проверка входных данных в запросах. Других изменений в защищённости вендор не заявляет. До установки патча стоит ограничить доступ к консоли. Помогает и урезание прав учётных записей до минимума.
Журналы веб-сервера помогают заметить подозрительные запросы. При этом нетипичные обращения к редким адресам видны сразу. Однако полагаться только на логи не стоит. Уязвимость требует входа, поэтому важен контроль учётных записей. Лишние аккаунты лучше отключить до обновления.
Сведений об эксплуатации уязвимости в реальных атаках нет. Группа реагирования Cisco PSIRT не знает о публичных объявлениях и вредоносном использовании. Готового эксплойта, то есть кода для атаки, в уведомлении нет. При этом, по оценке CISA, атаку нельзя автоматизировать. Уязвимость нашёл Ананд Муруган из Gulf Business Machines.
Ссылки
